Zapora sieciowa filtruje ruch sieciowy. Znajduje się między sieciami i decyduje, co może przejść. Reguły definiują dozwolony i zabroniony ruch na podstawie adresów IP, portów, protokołów i sygnatur aplikacji. Podstawowy filtr pakietów analizuje nagłówki. Zapora stanowa śledzi połączenia i rozumie kontekst. Zapora nowej generacji analizuje dane na poziomie aplikacji, identyfikuje użytkowników i blokuje zagrożenia. Każda generacja zwiększa możliwości i złożoność.

Same zapory sieciowe nie wystarczą. Blokują one znany, nieprawidłowy ruch i wymuszają segmentację. Nie zatrzymują wiadomości phishingowych, które nakłaniają użytkownika do kliknięcia linku. Nie zatrzymują atakującego, który posiada prawidłowe dane uwierzytelniające i łączy się przez dozwolony port. Nie sprawdzają szyfrowanego ruchu, chyba że są skonfigurowane do jego odszyfrowania, co budzi obawy dotyczące prywatności i wydajności. Zapory sieciowe najlepiej sprawdzają się jako element wielowarstwowej obrony. Segmentacja sieci ogranicza ruch poprzeczny. Wykrywanie włamań wychwytuje to, co zapora przeoczy. Zabezpieczenia punktów końcowych chronią przed zagrożeniami, które się przedostają. Zapora sieciowa z regułami permisywnymi jest gorsza niż bezużyteczna. Tworzy fałszywe poczucie bezpieczeństwa. Regularnie przeglądaj reguły. Usuń te, których dodania nikt nie pamięta. Domyślnym ustawieniem powinno być „odrzucanie”.

Typy zapór sieciowych

• Filtr pakietów — szybko i prosto sprawdza nagłówki
• Stanowy — śledzi stan połączenia, więcej kontekstu
• Warstwa aplikacji — sprawdza ładunki, wolniej, ale głębiej
• Następna generacja — łączy zaporę sieciową, system IPS i kontrolę aplikacji

Zapora sieciowa to ogrodzenie. Blokuje uczciwy ruch i zapobiega włamaniom. Nie zatrzymuje osoby z kluczem.